Дякуємо за відгук.

IP- телефони Cisco підтримують аутентифікацію 802.1X.

IP-телефони Cisco та комутатори Cisco Catalyst традиційно використовують Cisco Discovery Protocol (CDP) для ідентифікації один одного та визначення таких параметрів, як розподіл VLAN та вбудовані вимоги до живлення. CDP не ідентифікує локально приєднані робочі станції. IP-телефони Cisco забезпечують механізм пропускання EAPOL. Цей механізм дозволяє робочій станції, приєднаній до IP-телефону Cisco, передавати повідомлення EAPOL до автентифікатора 802.1X на комутаторі локальної мережі. Механізм пропускання гарантує, що IP-телефон не виконує функції перемикача локальної мережі для автентифікації кінцевої точки даних перед тим, як отримати доступ до мережі.

IP-телефони Cisco також надають механізм вилучення проксі-сервера EAPOL. Якщо локально підключений ПК відключається від IP-телефону, комутатор локальної мережі не бачить фізичного зв'язку, оскільки зв'язок між комутатором локальної мережі та телефоном IP підтримується. Щоб уникнути порушення цілісності мережі, IP-телефон надсилає повідомлення про вихід EAPOL на комутатор від імені ПК, що знаходиться нижче за течією, яке запускає перемикач локальної мережі, щоб очистити запис автентифікації для нижнього ПК.

Підтрим ка аутентифікації 802.1X вимагає декількох компонентів:

• IP-телефон Cisco: телефон ініціює запит на доступ до мережі. IP-телефони Cisco містять заявник 802.1X. Цей додаток дозволяє мережевим адміністраторам контролювати підключення IP-телефонів до портів комутатора LAN. Поточний випуск додатка телефону 802.1X використовує параметри EAP-FAST та EAP-TLS для автентифікації мережі.

• Сервер аутентифікації: Сервер аутентифікації та комутатор повинні бути налаштовані спільним секретом, який автентифікує телефон.

• Перемикач: комутатор повинен підтримувати 802.1X, тому він може виконувати функцію автентифікатора та передавати повідомлення між телефоном та сервером аутентифікації. Після завершення обміну комутатор надає або забороняє телефону доступ до мережі.

Для налаштування 802.1X необхідно виконати наступні дії.

• Налаштуйте інші компоненти, перш ніж увімкнути автентифікацію 802.1X на телефоні.

• Налаштування порту ПК: Стандарт 802.1X не враховує VLAN і тому рекомендує аутентифікацію лише одного пристрою до певного порту комутатора. Однак деякі комутатори підтримують багатодоменну аутентифікацію. Конфігурація комутатора визначає, чи можна підключити ПК до порту ПК телефону.

  • Увімкнено: якщо ви використовуєте комутатор, який підтримує багатодоменну аутентифікацію, ви можете увімкнути порт ПК та підключити до нього ПК. У цьому випадку IP-телефони Cisco підтримують проксі EAPOL-Logoff для моніторингу обміну аутентифікацією між комутатором і прикріпленим ПК.

    Для отримання додаткової інформації про підтримку IEEE 802.1X на комутаторах Cisco Catalyst див. посібники з конфігурації комутатора Cisco Catalyst за адресою:

    http://www.cisco.com/en/US/products/hw/switches/ps708/ tsd_products_support_series_home .html

  • Вимкнено: якщо комутатор не підтримує декілька пристроїв, сумісних з 802.1X, на одному порті, слід вимкнути порт ПК, коли увімкнено автентифікацію 802.1X. Якщо ви не вимкнете цей порт, а потім спробуєте підключити до нього ПК, комутатор забороняє доступ до мережі як до телефону, так і до ПК.

• Налаштування голосової локальної мережі: оскільки стандарт 802.1X не враховує VLAN, вам слід налаштувати цей параметр на основі підтримки комутатора.
  • Увімкнено. Якщо ви використовуєте перемикач, який підтримує багатодоменну аутентифікацію, ви можете продовжити його, щоб використовувати голосову VLAN.
  • Вимкнено: якщо комутатор не підтримує багатодоменну аутентифікацію, вимкніть голосову VLAN та розгляньте можливість присвоєння порту рідній VLAN.
• (Тільки для настільних телефонів Cisco серії 9800)

  Настільний телефон Cisco серії 9800 має інший префікс у PID, ніж для інших телефонів Cisco. Щоб дозволити телефону пройти автентифікацію 802.1X, встановіть параметр Радіус · Ім'я користувача, щоб включати ваш Cisco Desk Phone 9800 Series.

  Наприклад, PID телефону 9841 - DP-9841; ви можете встановити Радіус·Ім'я користувача на або. Start with DPContains DP Ви можете встановити його в обох наступних розділах:

  • Політика > У мови > У мови бібліотеки

  • Політика > Н абори політик > Полі тика авторизації > Правило авторизації 1

Оскільки всі пристрої WLAN, які знаходяться в межах діапазону, можуть отримувати весь інший трафік WLAN, захист голосового зв'язку є критичним у мережах WLAN. Щоб гарантувати, що зловмисники не маніпулюють і не перехоплюють голосовий трафік, архітектура Cisco SAFE Security підтримує телефон. Для отримання додаткової інформації про безпеку в мережах див. http://www.cisco.com/en/US/netsol/ns744/ networking_solutions_program_home .html.

Рішення Cisco Wireless IP телефонії забезпечує безпеку бездротової мережі, що запобігає несанкціонованим входам та компрометованим комунікаціям, використовуючи такі методи аутентифікації, які підтримує телефон:

• Відкрита аутенти фікація: Будь-який бездротовий пристрій може запитувати аутентифікацію у відкритій системі. Точка доступу, яка отримує запит, може надавати автентифікацію будь-якому запитувачу або лише запитувачам, які знаходяться у списку користувачів. Зв'язок між бездротовим пристроєм і точкою доступу (AP) може бути нешифрованим.

• Розширюваний протокол автентифікації - гнучка автентифікація за допомогою аутентифікації безпечного тунелювання (EAP-FAST): ця архітектура безпеки клієнт-сервер шифрує транзакції EAP в тунелі безпеки транспортного рівня (TLS) між точкою доступу та сервером RADIUS, наприклад, Identity Services Engine (ISE).

  Тунель TLS використовує захищені облікові дані доступу (PAC) для автентифікації між клієнтом (телефоном) та сервером RADIUS. Сервер надсилає клієнту (телефону) Authority ID (AID), який у свою чергу вибирає відповідний PAC. Клієнт (телефон) повертає PAC-непрозорість сервера RADIUS. Сервер розшифровує PAC первинним ключем. Обидві кінцеві точки тепер містять ключ PAC і створюється тунель TLS. EAP-FAST підтримує автоматичне забезпечення PAC, але його потрібно ввімкнути на сервері RADIUS.

  У ISE за замовчуванням PAC закінчується через один тиждень. Якщо телефон має термін дії PAC, аутентифікація за допомогою сервера RADIUS займає більше часу, поки телефон отримує новий PAC. Щоб уникнути затримок забезпечення PAC, встановіть термін дії PAC на 90 днів або довше на сервері ISE або RADIUS.

• Аутентифікація протоколу розширеної автентифікації та захисту транспортного рівня (EAP-TLS): для аутентифікації та доступу до мережі EAP-TLS потрібен клієнтський сертифікат. Для бездротового EAP-TLS клієнтським сертифікатом може бути MIC, LSC або встановлений користувачем сертифікат.

• Протокол захищеної розширюваної аутентифікації (PEAP): власна схема взаємної аутентифікації на основі пароля Cisco між клієнтом (телефоном) та сервером RADIUS. Телефон може використовувати PEAP для аутентифікації з бездротовою мережею. Підтримуються як методи аутентифікації PEAP-MSCHAPV2, так і PEAP-GTC.

• Попередньо спільний ключ (PSK): телефон підтримує формат ASCII. Ви повинні використовувати цей формат при налаштуванні попередньо спільного ключа WPA/WPA2/SAE:

  ASCII: рядок ASCII-символів довжиною від 8 до 63 символів (0-9, малі та великі літери A-Z та спеціальні символи)

  Приклад: GREG123567 @9ZX &W

Наступні схеми автентифікації використовують сервер RADIUS для керування ключами автентифікації:

• WPA/WPA2/WPA3: використовує інформацію сервера RADIUS для створення унікальних ключів для автентифікації. Оскільки ці ключі генеруються на централізованому сервері RADIUS, WPA2/WPA3 забезпечує більшу безпеку, ніж попередньо спільні ключі WPA, які зберігаються на точці доступу та телефоні.

• Швидкий безпечний роумінг: використовує інформацію сервера RADIUS та сервера бездротового домену (WDS) для керування та автентифікації ключів. WDS створює кеш облікових даних безпеки для клієнтських пристроїв з підтримкою FT для швидкої та безпечної повторної аутентифікації. Настільний телефон Cisco 9861 і 9871 і відеотелефон Cisco 8875 підтримують 802.11r (FT). Підтримуються як в ефірі, так і через DS, щоб забезпечити швидкий безпечний роумінг. Але ми настійно рекомендуємо використовувати метод 802.11r (FT) по повітрю.

За допомогою WPA/WPA2/WPA3 ключі шифрування не вводяться на телефон, а автоматично виводяться між точкою доступу та телефоном. Але ім'я користувача та пароль EAP, які використовуються для аутентифікації, повинні бути введені на кожному телефоні.

Щоб забезпечити безпеку голосового трафіку, телефон підтримує TKIP і AES для шифрування. Коли ці механізми використовуються для шифрування, як сигнальні SIP-пакети, так і пакети голосових транспортних протоколів реального часу (RTP) шифруються між AP та телефоном.

TKIP

WPA використовує шифрування TKIP, яке має кілька поліпшень порівняно з WEP. TKIP забезпечує шифрування ключів для кожного пакета та довші вектори ініціалізації (IV), які посилюють шифрування. Крім того, перевірка цілісності повідомлень (MIC) гарантує, що зашифровані пакети не змінюються. TKIP усуває передбачуваність WEP, що допомагає зловмисникам розшифрувати ключ WEP.

AES

Метод шифрування, що використовується для аутентифікації WPA2/WPA3. Цей національний стандарт шифрування використовує симетричний алгоритм, який має однаковий ключ для шифрування та розшифровки. AES використовує шифрування ланцюга блокування шифрів (CBC) розміром 128 біт, яке підтримує розміри ключів 128 біт, 192 біт і 256 біт, як мінімум. Телефон підтримує розмір ключа 256 біт.

Схеми аутентифікації та шифрування налаштовуються в бездротовій локальній мережі. VLAN налаштовуються в мережі і на точок доступу і вказують різні комбінації аутентифікації і шифрування. SSID асоціюється з VLAN та певною схемою аутентифікації та шифрування. Щоб бездротові клієнтські пристрої успішно пройшли аутентифікацію, необхідно налаштувати однакові SSID з їх схемами аутентифікації та шифрування на точок доступу та на телефоні.

Деякі схеми аутентифікації вимагають певних типів шифрування.

Схеми автентифікації та шифрування в наведеній нижче таблиці показують параметри конфігурації мережі телефону, що відповідає конфігурації точки доступу.